Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows2003. Voraussetzungen

Transkript

1 HS-Anhalt (FH) Fachbereich EMW Seite 1 von 8 Stand Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows2003 Voraussetzungen Es ist keinerlei Zusatzsoftware erforderlich. Es ist bereits alles im Windows2003-Server enthalten. Alle Aussagen hier treffen prinzipiell auch auf einen Windows2000-Server zu. Unter Start, Einstellungen, Systemsteuerung, Software, Windows-Komponenten hinzufügen/entfernen sollte kontrolliert werden, ob die Komponente Aktualisierung von Stammzertifikaten installiert ist. Die Komponente Zertifikatsdienste ist nicht erforderlich. Zertifikate importieren Zunächst müssen alle Zertifikate importiert werden. Zum Erhalt der Zertifikate siehe dazu die vorbereitenden Dokumente Erzeugung eines Zertifikatsrequests mit Hilfe von OpenSSL und Beantragung des Zertifikats bei der HS-Anhalt-CA. Das sind also unser eigenes Server-Zertifikat und die beiden Zertifikate der Zertifizierungsstellen der HS-Anhalt CA und des DFN-Vereins. Halten Sie die Dateien bereit. Dazu benötigen wir das Zertifikate Snap-In. Geben Sie ein: Start, Ausführen, mmc. Klicken Sie auf Datei, Snap-In hinzufügen, Hinzufügen, Zertifikate, Weiter geht s mit: Hinzufügen, Computerkonto, Weiter, Lokaler Computer, Fertig Stellen, Schließen. OK. Nun sollte das Zertifikate Snap-In zu sehen sein. Blättern Sie die Zertifikatsliste auf, indem Sie jeweils auf das + vor Eigene Zertifikate Vertrauenswürdige Stammzertifizierungsstellen Zwischenzertifizierungsstellen Klicken. (Siehe dazu nächstes Bild) 05-Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 1 von 8

2 HS-Anhalt (FH) Fachbereich EMW Seite 2 von 8 Stand In dem jeweiligen Unterordner Zertifikate der aufgeblätterten Ordner müssen nun die drei genannten Zertifikate importiert werden. Das Stammzertifizierungsstellenzertifikat ist schon vorhanden und braucht deshalb nur kontrolliert zu werden. Wir beginnen mit dem Zertifikat des DFN-Vereins. Klicken Sie dazu mit der rechten Maustaste auf den Unterordner Zertifikate des Ordners Zwischenzertifizierungsstellen. Wählen Sie Alle Tasks, Importieren. Klicken Sie auf Durchsuchen und navigieren Sie im Dateisystem zu der entsprechenden Datei cacert.cer. Bestätigen Sie mit Weiter Kontrollieren Sie, ob der Zertifikatsspeicher richtig ausgewählt ist (Bild rechts) und auf Zwischenzertifizierungsstellen steht. Die Automatische Auswahl des Zertifikatsspeichers ist auch möglich. Klicken Sie auf Weiter, und auf Fertig Stellen. Dieser Vorgang muss nun für die Zwischenzertifizierungsstelle der HS-Anhalt CA wiederholt werden. Dabei muss dann die Datei g_cacert.cer verwendet werden und als Zertifikatsspeicher wieder 05-Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 2 von 8

3 HS-Anhalt (FH) Fachbereich EMW Seite 3 von 8 Stand Zwischenzertifizierungsstellen gewählt werden. Als Letztes ist nun das Eigene Zertifikat des Servers zu importieren. Dazu wird rechts auf den Unterordner Zertifikate des Ordners Eigene Zertifikate geklickt. Alle Tasks, Importieren, Weiter, Durchsuchen, Nun suchen Sie die Datei key-cert.p12. Das ist die Datei die wir mit dem letzten OpenSSL- Befehl erzeugt haben, nachdem wir das Serverzertifikat erhalten hatten. Stellen Sie den Dateityp vorher auf *.p12, sonst können Sie die Datei nicht finden. Wenn Sie die Datei ausgewählt haben, klicken Sie auf Weiter. Nun müssen Sie das Passwort eingeben, mit dem Sie den privaten Key geschützt haben, als der Letzte OpenSSL-Befehl abgesetzt worden ist. Wählen Sie wieder den richtigen Zertifikatsspeicher aus (Eigene Zertifikate) und beenden Sie mit Weiter, Weiter, Fertig Stellen und OK. Nun sollten Sie zur Sicherheit die fehlerfreie Installation dieser drei Zertifikate nochmals kontrollieren. Öffnen Sie dazu jeweils den Unterordner Zertifikate der folgenden Unterordner Eigene Zertifikate Zwischenzertifizierungsstellen Vertrauenswürdige Stammzertifizierungsstellen Suchen Sie dann jeweils das entsprechende Zertifikat innerhalb der Liste auf der rechten Seite. Per Doppelklick können Sie das Zertifikat jeweils öffnen und kontrollieren, wenn Sie unsicher sind. Sie sehen hier Beispiele entsprechend der oben genannten Reihenfolge. Als erstes das Eigene Serverzertifikat, dann die beiden Zertifikate der Zwischenzertifizierungsstellen und dann das Root- Zertifikat der Deutschen Telekom Root CA Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 3 von 8

4 HS-Anhalt (FH) Fachbereich EMW Seite 4 von 8 Stand Das Root-Zertifikat der Deutschen Telekom Root CA 2 ist Windows bereits von Hause aus bekannt und brauchte deshalb nicht importiert, sondern nur kontrolliert zu werden. Wenn alles OK ist, kann das Zertifikate Snap-In geschlossen werden. Es geht jetzt mit der Konfiguration des Internet-Informations-Servers weiter. Konfiguration des IIS Wir gehen jetzt davon aus, dass Sie bereits einen IIS-Server installiert haben. Dieser läuft bisher allerdings unverschlüsselt über http (also TCP-Port 80). Die folgenden Beispiele sind wieder unter Windos2003 gemacht. Aber es gilt unter Windows2000 wieder alles genauso. Hier soll dargestellt werden, wir Sie nun auf https (also TCP-Port 443) wechseln können. Mit der Installation der Zertifikate haben wir bisher nur die Vorraussetzung dafür geschaffen. Die Kommunikation läuft nach wie vor noch wie bisher über http. Wir müssen zunächst das entsprechende Programm starten. Klicken Sie auf Start, Programme, Verwaltung, Internetinformationsdienste-Manager. Blättern Sie links nun die Struktur auf - bis mindestens zur gewünschte Webseite (hier MBWI-Webseite). Wenn Sie nur eine Webseite betreiben steht dort wahrscheinlich Standardwebsite. Wählen Sie diese aus. 05-Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 4 von 8

5 HS-Anhalt (FH) Fachbereich EMW Seite 5 von 8 Stand Machen Sie einen rechten Mausklick darauf und wählen Sie Eigenschaften. Auf der Registerkarte Website sollten Sie den SSL-Port 443 hinzufügen. Wenn Sie Erweitert anklicken, können Sie weitere Identitäten hinzufügen. Kontrollieren Sie bitte, ob dort auch Ihre SSL-Identität hinzugefügt ist. Wechseln Sie zur Registerkarte Verzeichnissicherheit. (siehe 2. Bild rechts) Hier muss zunächst das Serverzertifikat installiert werden. Benutzen Sie dazu den gleichnamigen Button Serverzertifikat und dann Klicken Sie auf Weiter. Wählen Sie Vorhandenes Zertifikat hinzufügen, und Weiter. Wählen Sie das Zertifikat aus, Weiter Bestätigen Sie den SSL-Port 443 mit Weiter. Der Inhalt des Zertifikats wird angezeigt. Bestätigen Sie mit Weiter und Fertig Stellen. 05-Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 5 von 8

6 HS-Anhalt (FH) Fachbereich EMW Seite 6 von 8 Stand Nun ist das Zertifikat mit der Webseite verbunden. Der Zugriff kann aber neben dem Protokoll https (Port 443) immer noch über http (Port 80) erfolgen. Wir müssen den Zugriff per https erzwingen. Klicken Sie dazu im Bereich Sichere Kommunikation auf Bearbeiten und setzen Sie dann die oberen beiden Häkchen. Bestätigen Sie mit OK. Damit sind die grundsätzlichen Einstellungen erfolgt. Er wäre noch zu bedenken, dass externe Links, die bereits auf diese Webseite gezeigt haben, von http auf https umgestellt werden müssen. Sonst funktionieren die Links nicht mehr. Hinweis Noch einige Hinweise zur Benutzer - Authentifizierung. Der Gewinn an Sicherheit durch die verschlüsselte Kommunikation kommt natürlich nicht bei einfachen Webseiten zum tragen, sondern erst, wenn Benutzeranmeldedaten übertragen werden. Stellen Sie sich einzelne Seiten und Bereiche von Unterseiten vor, die nur einem ausgewählten Personenkreis zur Verfügung gestellt werden sollen. Für diese einzelne Unterseiten oder Bereiche wählen wir die Eigenschaften aus. 05-Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 6 von 8

7 HS-Anhalt (FH) Fachbereich EMW Seite 7 von 8 Stand Zunächst Klicken wir auf Bearbeiten im unteren Bereich Sichere Kommunikation. Dort erzwingen wir sicherheitshalber die sichere Kommunikation indem die 2 Häkchen gesetzt werden. OK Dann Klicken wir auf Bearbeiten im oberen Bereich Authentifizierung und Zugriffssteuerung und deaktivieren den anonymen Zugriff. Nun können wir beruhigt die Standardauthentifizierung (Kennwort wird als Klartext gesendet) aktivieren. Die ganze Kommunikation ist ja jetzt verschlüsselt und niemand kann den Benutzernamen oder das Passwort ausspähen. Es sollte noch die Anmeldedomäne eingetragen werden, um den Benutzern die zusätzliche Eingabe der Domäne zu ersparen. Als letztes müsste nun nur noch im Dateisystem für diesen Bereich allen berechtigten Benutzern das entsprechende Leserecht eingeräumt werden. Dem Internetgastkonto verweigern wir sicherheitshalber alle Rechte. 05-Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 7 von 8

8 HS-Anhalt (FH) Fachbereich EMW Seite 8 von 8 Stand Gelangen nun die Internetbenutzer zu dieser Webseite, müssen sie sich mit Ihren Benutzerdaten anmelden. Erst wenn Sie einen gültigen Account angegeben haben und berechtigt sind, die Daten zu lesen, gelangen sie auf diese Webseite und ggf. alle Unterseiten ohne weitere Anmeldungen. Benutzername und Kennwort werden per SSL-Verschlüsselung (also nicht im Klartext) übertragen. Das soll es in aller Ausführlichkeit gewesen sein. Viel Erfolg 05-Installation des Zertifikats am Beispiel eines WWW-Servers unter Windows.doc Seite 8 von 8